La préservation des preuves techniques après un incident de sécurité

Dans les heures qui suivent la découverte d’une intrusion, une entreprise poursuit un objectif simple et parfaitement légitime : que le service refonctionne. Les équipes techniques restaurent des sauvegardes, réinstallent des serveurs, changent des mots de passe, remettent en production. Personne ne se demande, à ce moment-là, ce qu’il restera pour établir plus tard ce qui s’est passé.

C’est pourtant à cet instant que se décide l’essentiel du dossier juridique qui suivra, parfois deux ans plus tard.

Les éléments les plus fragiles

Les éléments les plus fragiles ne sont pas les fichiers, mais tout ce qui documente le comportement du système au moment de l’attaque.

• Les journaux des équipements et des applications, souvent conservés quelques jours seulement, et écrasés par rotation.
• La mémoire vive des machines concernées, perdue au premier redémarrage.
• Les machines elles-mêmes, réinstallées par-dessus l’état compromis.
• Les sauvegardes intermédiaires, supprimées pour libérer de l’espace pendant la restauration.

Chacune de ces pertes est rationnelle prise isolément. Ensemble, elles aboutissent à une situation où l’entreprise sait qu’elle a été attaquée, sait ce que cela lui a coûté, et ne peut plus démontrer par quel chemin l’attaquant est entré.

Or c’est précisément ce chemin qui détermine si la responsabilité se discute avec un prestataire d’infogérance, avec un éditeur, avec un assureur, ou avec personne.

Deux mesures conservatoires

Il ne s’agit pas de ralentir la remise en service, ce qui serait absurde et souvent impossible.

Le premier geste consiste à figer avant de restaurer : une copie des disques et, lorsque c’est encore possible, de la mémoire des machines concernées, conservée à part et non modifiée. Cette copie peut être faite en parallèle du travail de remise en route.

Le second consiste à suspendre la rotation des journaux sur l’ensemble du périmètre, y compris sur des équipements qui paraissent étrangers à l’incident. Cette mesure prend quelques minutes et se révèle souvent décisive, parce que le point d’entrée réel est rarement celui que l’on soupçonne le premier jour.

Une décision de direction

Ces deux gestes relèvent des équipes techniques, mais la décision de les accomplir est une décision de direction, prise dans un moment de tension où l’urgence technique parle plus fort que l’intérêt juridique. C’est la raison pour laquelle ils figurent utilement dans la procédure interne de gestion de crise, écrits à l’avance, plutôt que discutés le jour même.